Meshnet, Docker жана алардын ортосундагы уруксат

Эки URL теңдин браузеринен бирдей көрүнүшү мүмкүн, бирок коопсуздук дубалы үчүн таптакыр башка нерсени билдирет. Бирөө хосттун өзүндө угуп жаткан кызматты көрсөтөт. Экинчиси порту контейнер тармагына жарыяланган хост дарегин көрсөтөт, ал жерде котормо кадамы байланышты башка IPге өткөрүп берет. Ар бир тең үчүн уруксат менен жергиликтүү тармакка жетүүнү башкарат тең-тең тармагында ошол айырма бүт кароо болуп саналат.

Уруксат хосттун акыркы чекитине тиешелүү, котормо Dockerге тиешелүү, ал эми кирүү колдонмого тиешелүү. Үч чечим, кароочу үч жер.

Жарыялоодон кийин багытты ээрчиңиз

Контейнердин 80 портун хосттун 8080 портунда жарыялаган Linux Docker хосту алыңыз. Тең 8080 боюнча хосттун тармактык дарегине туташат, хост байланышты кабыл алат, ал эми багыттын котормосу аны контейнердин көпүрө дарегине, адатта 172.17.0.2 сыяктуу нерсеге, 80 портунда кайра жазат.

Эреже ошол агымды текшергенде, кызыктуу багыт — контейнер, хост эмес. «Ушул машинадагы кызмат» жөнүндө гана ой жүгүрткөн саясат туура эмес объект жөнүндө ой жүгүртөт. Суроо-талап хостко конду, бирок ал башка жерге жеткирилип жатат.

Ошондуктан тармактын документтери Docker контейнерлерин Linuxта жергиликтүү тармак уруксаты башкарган ресурстардын катарына кошот. Уруксат кадимки VPN уруксат тизмесиндеги жазуунун синоними эмес жана эки көзөмөл бирин-бири алмаштырбайт. Бирөө тең жергиликтүү ресурстарга такыр жете алабы же жокпу чечет; экинчиси туннелдик маршрут кайсы багыттарды ташыйт чечет.

Уруксат канча жергиликтүү кирүү берерин чечиңиз

Теңге жергиликтүү тармакка кирүү берүү бир контейнер жөнүндө чечим эмес. Ал ошол эле хосттогу башка жарыяланган кызматтарды ача алат жана хост кантип өткөрүп берерине жараша андан ары жетиши мүмкүн. Бир такта үчүн которгучту баспас мурун натыйжалуу камтылманы карап чыгыңыз.

Андан кийин Docker портту кайда жарыялайт экенин караңыз. 0.0.0.0до жарыялоо ар бир хост дарегинде угуучу түзөт, бул тармак жазуусунун жанына кадимки LAN жазуусун кошуусу мүмкүн. Эгер талап тармак гана болсо, жарыялоону өзүңүз көздөгөн так дарекке же интерфейске байлаңыз жана кененирээк байлоону ыңгайлуулук эмес, өзүнчө тыянак катары караңыз.

Хосттун өткөрүп берүү саясатын жана колдонмонун өз аутентификациясын кызмат үчүн жетиштүү тар кармаңыз. Жеке көрүнгөн URL кирүүнү көзөмөлдөө эмес, ал эми көпүрө тармагындагы ар бир булакка ишенген контейнер тармактын теңи бекитилгени менен корголбойт. Колдонмонун аутентификациясы — үчүнчү чечим жана колдонуучунун ким экенин билген жалгыз чечим. Хост деңгээлиндеги уруксат бул билимди бере албайт.

Уруксатты сынаңыз, URLды гана эмес

Бекитилген теңден так кызматты ачып, анын иштешин ырастаңыз. Андан кийин четке кагылган бойдон калышы керек болгон багытты сынап көрүп, анын иштебей жатканын ырастаңыз. Бактылуу жолду гана сыноо уруксат берилгенин айтат; чек ара сиз ойлогон жерде экенин айтпайт.

Хостко таандык кызматты өзүнчө салыштырыңыз. Эгер маалымат базасы хостто укса жана такта контейнерде иштесе, алар ошол эле уруксаттан ар башка жолдор менен өтүшөт жана хосттун өткөрүп берүү саясаты аларды бирдей башкара албашы мүмкүн. Кароо жазуусун жазганга чейин кайсынысы кайсы экенин жазып коюңуз.

Кирүүнү «калыбына келтирүү» үчүн Docker таблицаларын же тармак кардарынын эрежелерин тазалабаңыз. Эки өнүм тең өз саясат интеграциясын орнотот, ал эми аны жок кылуу баалоону сураган көзөмөлдөрдү айланып өтүп, иштеп жаткандай көрүнгөн хост жаратат. Эреже туура эмес көрүнсө, аны окуп, дал ошол эрени өзгөртүңүз. Эреженин эмне кыларын түшүндүрө албасаңыз, бул — тыянак, аны жок кылууга себеп эмес.

Тыянакты системанын өз терминдери менен жазыңыз

Маанилүүсү — өнүм чындыгында колдонгон айырма, кароо үлгүсүндөгү эмес: хосттун акыркы чекитине жетүү уруксаты, маршрутталган жеке ресурстарга жетүү уруксаты жана колдонмону пайдалануу уруксаты. Портту жарыялоо ошол үч чечимди дал турган ордунда калтырат, ал эми аларды бир деп эсептеген кароочу туура эмес камтылманы бекитет.

Хост дарегин, жарыяланган портту, контейнердин багытын жана теңдин уруксатын бир сүйлөмдө көрсөтүңүз. Бул сүйлөмдү башка бирөө текшере алат жана дал ошол аны пикир эмес, тыянак кылат.